🇰🇷 한글 설명
Ruby on Rails용 OAuth 2 제공자인 Doorkeeper 1.9.0 버전에서 동적 클라이언트 등록 기능 사용 시 보안 결함이 발견되었습니다. 공격자가 공개된 client_id만 알면 client_secret 없이도 토큰 엔드포인트에서 인증을 통과하여 액세스 토큰을 획득할 수 있습니다. 이는 동적 등록된 클라이언트가 내부적으로 'public'으로 처리되어 비밀번호 검증을 건너뛰기 때문에 발생합니다.
💡 쉬운 설명
로그인할 때 비밀번호를 입력해야 하는데, 특정 설정이 켜져 있으면 비밀번호 없이 아이디만으로도 로그인이 가능한 상태입니다. 이로 인해 공격자가 다른 사용자의 권한을 가로챌 위험이 있습니다.
🇺🇸 원문 (English)
Doorkeeper is an OAuth 2 provider for Ruby on Rails. In version 1.9.0, an attacker who knows only a dynamically registered client's client_id, which is public information, can authenticate as that client at the token endpoint and obtain an access token without providing its client_secret. This occurs because the Dynamic Client Registration feature creates applications with confidential: false hard-coded, even though the registration response returns a client_secret and advertises support for the client_secret_basic and client_secret_post authentication methods; since Doorkeeper treats a blank or missing secret as valid for non-confidential (public) clients, the secret is never verified. Only projects that have explicitly enabled Dynamic Client Registration, which is disabled by default, are affected. This issue is fixed in version 1.10.0.
📍 영향받는 시스템
Doorkeeper version 1.9.0 (Dynamic Client Registration 기능 활성화 시)
⚔️ 공격 벡터
공개된 client_id를 사용하여 client_secret 없이 토큰 엔드포인트에 인증 요청
🛡️ 대응 방법
Doorkeeper를 버전 1.10.0 이상으로 업데이트하거나, 사용하지 않는 경우 Dynamic Client Registration 기능을 비활성화하십시오.
🔧 검증 코드
출력된 버전 정보가 1.9.0인지 확인하고, 설정 파일에서 Dynamic Client Registration이 활성화되어 있는지 점검하십시오.
bundle info doorkeeper | grep -E 'Summary|Version'